Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO · Stand: 11. September 2026

Stand und Geltung. Dieses Dokument beschreibt den tatsächlichen technischen und organisatorischen Stand des Systems zum angegebenen Datum. Es ist von uns erstellt und nicht anwaltlich geprüft. Für den Vertragsabschluss mit einem Auftraggeber empfehlen wir die Prüfung durch dessen Rechtsabteilung; wir passen den Text auf Wunsch an ein kundenseitiges Muster an.

§ 1 Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für die Erbringung der vertraglich vereinbarten Leistungen erforderlich ist. Gegenstand ist der Betrieb der Software PPWR-Ready zur Verwaltung von Verpackungsstammdaten, Mengenmeldungen und Nachweisen nach der Verordnung (EU) 2025/40 sowie — soweit gesondert gebucht — die Vertretung als Bevollmächtigter gegenüber den zuständigen Behörden.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der Auftragnehmer: Hahnels Amsterdam, Dorpstraat 32B, 1191 BK Ouderkerk aan de Amstel, Niederlande.

§ 2 Art der Daten und Kreis der Betroffenen

Der weit überwiegende Teil der im System verarbeiteten Daten ist nicht personenbezogen: Verpackungsartikel, Materialgewichte, Mengen, Gebühren, Konformitäts- und Nachweisdokumente. Personenbezogene Daten fallen an bei:

Betroffene sind damit: Beschäftigte des Auftraggebers, Ansprechpartner bei dessen Lieferanten sowie gegebenenfalls von ihm benannte Prüfer.

§ 3 Weisungsbindung

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gilt der Hauptvertrag samt dieser Vereinbarung sowie jede über die Software vorgenommene Einstellung. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Eine Ausnahme ist ausdrücklich zu nennen: Soweit der Auftragnehmer als Bevollmächtigter gegenüber einer Behörde auftritt, handelt er insoweit nicht als Auftragsverarbeiter, sondern aufgrund eigener gesetzlicher Pflichten (Art. 45 PPWR, § 35 VerpackG). Für diesen Teil ist er eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

§ 4 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in der TOM-Dokumentation beschrieben, die Bestandteil dieser Vereinbarung ist. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

Der Auftraggeber stimmt der Beauftragung der in der Liste der Unterauftragsverarbeiter genannten Dienstleister zu. Eine Änderung wird mindestens 30 Tage vor Wirksamwerden mitgeteilt; der Auftraggeber kann ihr binnen dieser Frist aus wichtigem Grund widersprechen. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf ein gleichwertiges Schutzniveau.

§ 6 Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Datenbank, Dateispeicher und Anwendungslogik liegen in der AWS-Region eu-west-1 (Irland). Eine Verarbeitung in einem Drittland findet nur bei den in der Unterauftragsverarbeiter-Liste ausdrücklich gekennzeichneten Diensten und nur auf Grundlage der EU-Standardvertragsklauseln statt.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenrechten und stellt dafür in der Software bereit:

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und teilt die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben mit, soweit sie ihm vorliegen.

§ 9 Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung überzeugen. Der Auftragnehmer erteilt hierzu Auskunft und legt die TOM-Dokumentation sowie die Nachweise seiner Unterauftragsverarbeiter vor. Eine Vor-Ort-Prüfung ist nach Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten möglich.

§ 10 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht. Ausgenommen sind Unterlagen, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere die technische Dokumentation und die Konformitätserklärung nach Art. 15 Abs. 3 PPWR (fünf Jahre bei Einweg-, zehn Jahre bei Mehrwegverpackungen) sowie steuerliche Unterlagen. Diese werden bis zum Ablauf der Frist gesperrt aufbewahrt und danach gelöscht.

§ 11 Schlussbestimmungen

Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt niederländisches Recht, soweit nicht zwingende Vorschriften des Rechts am Sitz des Auftraggebers vorgehen.